Справочник по параметрам базовых параметров безопасности Microsoft Defender для конечной точки для Microsoft Intune

Эта статья является справочником по параметрам, доступным в базовых параметрах безопасности Microsoft Defender для конечной точки для Microsoft Intune.

Об этой справочной статье

Каждый базовый уровень безопасности — это группа предварительно настроенных параметров Windows, которые помогают применять и обеспечивать соблюдение детализированных параметров безопасности, рекомендуемых соответствующими группами безопасности. Вы также можете настроить каждую базовую конфигурацию для развертывания, чтобы применять только необходимые вам параметры и значения. При создании профиля базовой конфигурации безопасности в Intune создается шаблон, состоящий из нескольких параметров конфигурации устройств.

Сведения, отображаемые в этой статье, основаны на базовой версии, выбранной в верхней части статьи. В этой статье приводится информация для каждой из версий.

  • Список каждого параметра с его конфигурацией, найденной в экземпляре по умолчанию этой базовой версии.
  • Если доступно, ссылка на документацию по базовому поставщику служб конфигурации (CSP) или другое связанное содержимое из соответствующей группы продуктов, предоставляющее контекст и, возможно, дополнительные сведения для использования параметров.

При появлении новой версии базового плана она заменяет предыдущую. Профилирование экземпляров, созданных до появления новой версии:

  • Перейти в режим только для чтения. Хотя вы можете продолжать использовать эти профили и редактировать их название, описание и назначения, вы не сможете изменить конфигурацию каких-либо параметров в них.
  • Может быть обновлен до текущей версии. После обновления профиля до текущей базовой версии его можно изменить, чтобы изменить его параметры.

Дополнительные сведения об использовании базовых параметров безопасности см. в разделе:

Базовый план Microsoft Defender для конечной точки, версия 24H1

Базовые конфигурации Microsoft Defender для конечной точки за декабрь 2020 г. — версия 6

Базовый план Microsoft Defender для конечной точки за сентябрь 2020 г. — версия 5

Базовые конфигурации Microsoft Defender для конечной точки за апрель 2020 г. — версия 4

Базовые конфигурации Microsoft Defender для конечной точки за март 2020 г. — версия 3

Базовый план Microsoft Defender для конечной точки доступен, если ваша среда соответствует предварительным требованиям для использования Microsoft Defender для конечной точки.

Этот базовый план оптимизирован для физических устройств и не рекомендуется использовать на виртуальных машинах или конечных точках VDI. Некоторые базовые параметры могут влиять на удаленные интерактивные сеансы в виртуализированных средах. Дополнительные сведения см. в статье Повышение уровня соответствия требованиям базового уровня безопасности Microsoft Defender для конечной точки в документации по Windows.

Административные шаблоны

Установка > системного > устройства, ограничения на установку устройства

  • Запретить установку устройств с помощью драйверов, которые соответствуют этим классам настройки устройств
    Базовый план по умолчанию: включено
    Подробнее

    • Запрещенные классы
      Базовый план по умолчанию: d48179be-ec20-11d1-b6b8-00c04fa372a7

    • Также применяются к соответствующим устройствам, которые уже установлены.
      Базовый план по умолчанию: False

Компоненты > Windows шифрование диска BitLocker

  • Выберите метод шифрования диска и уровень шифрования (Windows 10 [версия 1511] и более поздние версии)
    Базовый план по умолчанию: включено
    Подробнее

    Важно!

    14 октября 2025 г. для Windows 10 наступил срок поддержки, и она больше не будет получать исправления и обновления компонентов. Windows 10 является разрешенной версией в Intune. Устройства, работающие под управлением этой версии, все еще могут зарегистрироваться в Intune и использовать соответствующие функции, но функциональность не будет гарантирована и может отличаться.

    • Выберите метод шифрования для съемных дисков с данными.
      Базовый план по умолчанию: AES-CBC 128-бит (по умолчанию)

    • Выберите метод шифрования дисков операционной системы.
      Базовый план по умолчанию: XTS-AES 128-бит (по умолчанию)

    • Выберите метод шифрования для фиксированных дисков с данными:
      Базовый план по умолчанию: XTS-AES 128-бит (по умолчанию)

Компоненты > Windows, шифрование > диска BitLocker, несъемные диски с данными

  • Выберите способы восстановления фиксированных дисков с защитой BitLocker
    Базовый план по умолчанию: включено
    Подробнее

    • Не включайте BitLocker до тех пор, пока сведения о восстановлении не будут сохранены в AD DS для фиксированных дисков с данными
      Базовый план по умолчанию: True

    • Разрешить агент восстановления данных
      Базовый план по умолчанию: True

    • Настройка хранения данных восстановления BitLocker в AD DS
      Базовый план по умолчанию: Резервное копирование паролей восстановления и пакетов ключей

      Значение: разрешить 256-разрядный ключ восстановления

    • Сохранение сведений о восстановлении BitLocker в AD DS для фиксированных дисков с данными
      Базовый план по умолчанию: True

    • Пропуск параметров восстановления в мастере установки BitLocker
      Базовый план по умолчанию: True

    • Настройте пользовательское хранилище сведений о восстановлении BitLocker.
      Базовый план по умолчанию: разрешить 48-значный пароль восстановления

  • Запретить запись на фиксированные диски, не защищенные BitLocker
    Базовый план по умолчанию: включено
    Подробнее

  • Применить тип шифрования диска к несъемным дискам с данными
    Базовый план по умолчанию: включено
    Подробнее

    • Выберите тип шифрования: (устройство)
      Базовый план по умолчанию: Шифрование только используемого пространства

Компоненты > Windows, шифрование > диска BitLocker, диски операционной системы

  • Разрешить устройствам, совместимым с InstantGo или HSTI, отказаться от предзагрузочного ПИН-кода.
    Базовый план по умолчанию: отключено
    Подробнее

  • Разрешить улучшенные ПИН-коды при запуске
    Базовый план по умолчанию: отключено
    Подробнее

  • Выберите способы восстановления дисков операционной системы с защитой BitLocker
    Базовый план по умолчанию: включено
    Подробнее

    • Пропуск параметров восстановления в мастере установки BitLocker
      Базовый план по умолчанию: True

    • Разрешить агент восстановления данных
      Базовый план по умолчанию: True

      Значение: разрешить 256-разрядный ключ восстановления

    • Настройте хранение сведений о восстановлении BitLocker в AD DS:
      Базовый план по умолчанию: сохранять пароли восстановления и пакеты ключей

    • Не включайте BitLocker до тех пор, пока сведения о восстановлении не будут сохранены в AD DS для дисков операционной системы
      Базовый план по умолчанию: True

    • Сохранение сведений о восстановлении BitLocker в AD DS для дисков операционной системы
      Базовый план по умолчанию: True

    • Настройте пользовательское хранилище сведений о восстановлении BitLocker.
      Базовый план по умолчанию: разрешить 48-значный пароль восстановления

  • Включить использование проверки подлинности BitLocker, требующей предзагрузочного ввода с клавиатуры на планшетах
    Базовый план по умолчанию: включено
    Подробнее

  • Принудительное шифрование диска на диске операционной системы
    Базовый план по умолчанию: включено
    Подробнее

    • Выберите тип шифрования: (устройство)
      Базовый план по умолчанию: Шифрование только используемого пространства

  • Требовать дополнительную проверку подлинности при запуске
    Базовый план по умолчанию: включено
    Подробнее

    • Настройка ключа запуска и ПИН-кода TPM:
      Базовый план по умолчанию: запрет ввода ключа запуска и ПИН-кода с TPM

    • Настройка запуска TPM:
      Базовый план по умолчанию: разрешить доверенный платформенный модуль

    • Разрешить BitLocker без совместимого TPM (требуется пароль или ключ запуска на USB-устройстве флэш-памяти)
      Базовый план по умолчанию: False

    • Настройка ПИН-кода запуска доверенного платформенного модуля:
      Базовый план по умолчанию: разрешить ПИН-код запуска с TPM

    • Настройка ключа запуска TPM:
      Базовый план по умолчанию: запрет запуска ключа с TPM

Компоненты > Windows, шифрование > диска BitLocker, съемные диски с данными

  • Управление использованием BitLocker для съемных дисков
    Базовый план по умолчанию: включено
    Подробнее

    • Разрешить пользователям применять защиту BitLocker на съемных дисках с данными (устройство)
      Базовый план по умолчанию: True

      • Применить тип шифрования диска к съемным носителям с данными
        Базовый план по умолчанию: включено
        Подробнее

        • Выберите тип шифрования: (устройство)
          Базовый план по умолчанию: Шифрование только используемого пространства

    • Разрешить пользователям приостанавливать и расшифровывать защиту BitLocker на съемных дисках с данными (устройство)
      Базовый план по умолчанию: False

  • Запретить запись на съемные диски, не защищенные BitLocker
    Базовый план по умолчанию: включено
    Подробнее

    • Запретить доступ на запись к устройствам, настроенным в другой организации
      Базовый план по умолчанию: False

Проводник компонентов > Windows

  • Настройка SmartScreen Защитника Windows
    Базовый план по умолчанию: включено
    Подробнее

    • Выберите один из следующих параметров: (Устройство)
      Базовый план по умолчанию: предупреждение и запрет обхода

Internet > обозреватели компонентов Windows

  • Запретить обходить SmartScreen Предупреждения фильтра о файлах, которые обычно не скачиваются из Интернета
    Базовый план по умолчанию: включено
    Подробнее

  • Запретить обходить SmartScreen Предупреждения фильтра о файлах, которые обычно не скачиваются из Интернета (пользователь)
    Базовый план по умолчанию: включено
    Подробнее

  • Запретить управление фильтром SmartScreen
    Базовый план по умолчанию: включено
    Подробнее

    • Выбор режима фильтра SmartScreen
      Базовый план по умолчанию: Вкл

BitLocker

  • Разрешить предупреждение для другого шифрования диска
    Базовый план по умолчанию: включено
    Подробнее

  • Настройка ротации паролей восстановления
    Базовый план по умолчанию: обновление включено для устройств, присоединенных как к Azure AD, так и к гибридным устройствам
    Подробнее

  • Требовать шифрования устройства
    Базовый план по умолчанию: включено
    Подробнее

Defender

  • Разрешить сканирование архивов
    Базовый план по умолчанию: разрешено. Сканирование файлов архива.
    Подробнее

  • Разрешить мониторинг поведения
    Базовый план по умолчанию: разрешено. Включает мониторинг поведения в режиме реального времени.
    Подробнее

  • Разрешить облачную защиту
    Базовый план по умолчанию: разрешено. Включает облачную защиту.
    Подробнее

  • Разрешить сканирование Email
    Базовый план по умолчанию: разрешено. Включает сканирование электронной почты.
    Подробнее

  • Разрешить полное сканирование съемного диска
    Базовый план по умолчанию: разрешено. Сканирование съемных дисков.
    Подробнее

  • Разрешить защиту доступа
    Базовый план по умолчанию: разрешено.
    Подробнее

  • Разрешить мониторинг в режиме реального времени
    Базовый план по умолчанию: разрешено. Включает и запускает службу мониторинга в режиме реального времени.
    Подробнее

  • Разрешить сканирование сетевых Files
    Базовый план по умолчанию: разрешено. Проверяет сетевые файлы.
    Подробнее

  • Разрешить сканирование всех загруженных файлов и вложений
    Базовый план по умолчанию: разрешено.
    Подробнее

  • Разрешить сканирование сценариев
    Базовый план по умолчанию: разрешено.
    Подробнее

  • Разрешить доступ к пользовательскому интерфейсу
    Базовый план по умолчанию: разрешено. Позволяет пользователям получать доступ к пользовательскому интерфейсу.
    Подробнее

    • Блокировать выполнение сценариев, которые могут быть запутанными.
      Базовый план по умолчанию: блокировать
      Подробнее

    • Блокировка вызовов API Win32 из макросов Office
      Базовый план по умолчанию: блокировать
      Подробнее

    • Блокировать запуск исполняемых файлов, если они не соответствуют критериям распространенности, возраста или списка доверенных лиц
      Базовый план по умолчанию: блокировать
      Подробнее

    • Блокировка создания дочерних процессов в коммуникационном приложении Office
      Базовый план по умолчанию: блокировать
      Подробнее

    • Блокировка создания дочерних процессов для всех приложений Office
      Базовый план по умолчанию: блокировать
      Подробнее

    • Блокирование создания дочерних процессов в Adobe Reader
      Базовый план по умолчанию: блокировать
      Подробнее

    • Блокировка кражи учетных данных из подсистемы локального центра безопасности Windows
      Базовый план по умолчанию: блокировать
      Подробнее

    • Запретить JavaScript или VBScript запускать загружаемое исполняемое содержимое
      Базовый план по умолчанию: блокировать
      Подробнее

    • Блокировка создания веб-оболочки для серверов
      Базовый план по умолчанию: блокировать
      Подробнее

    • Блокировка ненадежных и неподписанных процессов, запущенных с USB
      Базовый план по умолчанию: блокировать
      Подробнее

    • Блокировка сохраняемости с помощью подписки на событие WMI
      Базовое значение по умолчанию: аудит
      Подробнее

    • [ПРЕДВАРИТЕЛЬНАЯ ВЕРСИЯ] Блокировка использования скопированных или олицетворенных средств системы
      Базовый план по умолчанию: блокировать
      Подробнее

    • Блокировка злоупотребления эксплойтированными уязвимыми подписанными драйверами (устройство)
      Базовый план по умолчанию: блокировать
      Подробнее

    • Блокировка создания процессов с помощью команд PSExec и WMI
      Базовое значение по умолчанию: аудит
      Подробнее

    • Блокировка создания исполняемого контента в приложениях Office
      Базовый план по умолчанию: блокировать
      Подробнее

    • Блокировка внедрения кода в другие процессы приложениями Office
      Базовый план по умолчанию: блокировать
      Подробнее

    • [ПРЕДВАРИТЕЛЬНАЯ ВЕРСИЯ] Блокировка перезагрузки компьютера в безопасном режиме
      Базовый план по умолчанию: блокировать
      Подробнее

    • Использование расширенной защиты от программ-шантажистов
      Базовый план по умолчанию: блокировать
      Подробнее

    • Блокировка исполняемого контента из почтового клиента и веб-почты
      Базовый план по умолчанию: блокировать
      Подробнее

  • Проверьте наличие подписей перед запуском проверки
    Базовый план по умолчанию: включено
    Подробнее

  • Уровень блокировки облака
    Базовый план по умолчанию: высокий
    Подробнее

  • Расширенное время ожидания облака
    Базовый план по умолчанию: настроено
    Значение: 50
    Подробнее

  • Отключение слияния локальных администраторов
    Базовый план по умолчанию: включить слияние локальных администраторов
    Подробнее

  • Включение сетевой защиты
    Базовый план по умолчанию: включено (режим блокировки)
    Подробнее

  • Скрыть исключения от локальных администраторов
    Базовый план по умолчанию: если включить этот параметр, локальные администраторы больше не смогут просматривать список исключений в приложении "Безопасность Windows" или через PowerShell.
    Подробнее

  • Скрыть исключения от локальных пользователей
    Базовый план по умолчанию: Если вы включите этот параметр, локальные пользователи больше не смогут видеть список исключений в приложении Безопасность Windows или через PowerShell.
    Подробнее

  • Включение RTP при первом включении и обновлении SIG
    Базовый план по умолчанию: если вы включите этот параметр, защита в режиме реального времени и обновления механизма обнаружения угроз будут включены во время запуска при первом включении компьютера.
    Подробнее

  • Защита от ПНП
    Базовый план по умолчанию: защита ПНП включена. Обнаруженные элементы блокируются. Они проявятся в истории вместе с другими угрозами.
    Подробнее

  • Направление сканирования в реальном времени
    Базовый план по умолчанию: Мониторинг всех файлов (двунаправленный).
    Подробнее

  • Параметр сканирования
    Базовый план по умолчанию: быстрая проверка
    Подробнее

  • Планирование времени быстрой проверки
    Базовый план по умолчанию: настроено
    Значение: 120
    Подробнее

  • Планирование дня проверки
    Базовый план по умолчанию: каждый день
    Подробнее

  • Планирование времени сканирования
    Базовый план по умолчанию: настроено
    Значение: 120
    Подробнее

  • Интервал обновления подписи
    Базовый план по умолчанию: настроено
    Значение: 4
    Подробнее

  • Согласие на отправку образцов
    Базовый план по умолчанию: Отправлять все образцы автоматически.
    Подробнее

Device Guard

  • Credential Guard
    Базовый план по умолчанию: (включено с блокировкой UEFI) Включает Credential Guard с блокировкой UEFI.
    Подробнее

Охранник DMA

  • Политика перечисления устройств
    Базовый план по умолчанию: Блокировать все (максимальное ограничение)
    Подробнее

Брандмауэр

  • Проверка списка отзыва сертификатов
    Базовый план по умолчанию: нет
    Подробнее

  • Отключение FTP с отслеживанием состояния
    Базовый план по умолчанию: True
    Подробнее

  • Включение сетевого брандмауэра домена
    Базовый план по умолчанию: True
    Подробнее

    • Разрешить объединение локальных политик IPSec
      Базовый план по умолчанию: True
      Подробнее

    • Отключение режима невидимости
      Базовый план по умолчанию: False
      Подробнее

    • Отключение входящих уведомлений
      Базовый план по умолчанию: True
      Подробнее

    • Отключить одноадресные ответы для многоадресной рассылки
      Базовый план по умолчанию: False
      Подробнее

    • Глобальные порты разрешают объединение предпосылок пользователей
      Базовый план по умолчанию: True
      Подробнее

    • Отключение исключения пакетов Ipsec в скрытом режиме
      Базовый план по умолчанию: True
      Подробнее

    • Разрешить объединение локальных политик
      Базовый план по умолчанию: True
      Подробнее

  • Включение очереди пакетов
    Базовый план по умолчанию: настроено
    Значение: отключено
    Подробнее

  • Включение брандмауэра частной сети
    Базовый план по умолчанию: True
    Подробнее

    • Входящее действие по умолчанию для частного профиля
      Базовый план по умолчанию: блокировать
      Подробнее

    • Отключить одноадресные ответы для многоадресной рассылки
      Базовый план по умолчанию: False
      Подробнее

    • Отключение режима невидимости
      Базовый план по умолчанию: False
      Подробнее

    • Глобальные порты разрешают объединение предпосылок пользователей
      Базовый план по умолчанию: True
      Подробнее

    • Разрешить объединение локальных политик IPSec
      Базовый план по умолчанию: True
      Подробнее

    • Отключение исключения пакетов Ipsec в скрытом режиме
      Базовый план по умолчанию: True
      Подробнее

    • Отключение входящих уведомлений
      Базовый план по умолчанию: True
      Подробнее

    • Разрешить объединение локальных политик
      Базовый план по умолчанию: True
      Подробнее

    • Исходящее действие по умолчанию
      Базовый план по умолчанию: Разрешить
      Подробнее

    • Приложения проверки подлинности разрешают объединение параметров пользователя
      Базовый план по умолчанию: True
      Подробнее

  • Включение брандмауэра общедоступной сети
    Базовый план по умолчанию: True
    Подробнее

    • Отключение режима невидимости
      Базовый план по умолчанию: False
      Подробнее

    • Исходящее действие по умолчанию
      Базовый план по умолчанию: Разрешить
      Подробнее

    • Отключение входящих уведомлений
      Базовый план по умолчанию: True
      Подробнее

    • Отключение исключения пакетов Ipsec в скрытом режиме
      Базовый план по умолчанию: True
      Подробнее

    • Разрешить объединение локальных политик
      Базовый план по умолчанию: True
      Подробнее

    • Приложения проверки подлинности разрешают объединение параметров пользователя
      Базовый план по умолчанию: True
      Подробнее

    • Входящее действие по умолчанию для общедоступного профиля
      Базовый план по умолчанию: блокировать
      Подробнее

    • Отключить одноадресные ответы для многоадресной рассылки
      Базовый план по умолчанию: False
      Подробнее

    • Глобальные порты разрешают объединение предпосылок пользователей
      Базовый план по умолчанию: True
      Подробнее

    • Разрешить объединение локальных политик IPSec
      Базовый план по умолчанию: True
      Подробнее

  • Кодировка предварительного ключа
    Базовый план по умолчанию: UTF8
    Подробнее

  • Время простоя связи с безопасностью
    Базовый план по умолчанию: настроено
    Значение: 300
    Подробнее

Microsoft Edge

  • Настройка фильтра SmartScreen Microsoft Defender
    Базовый план по умолчанию: включено

  • Настройте фильтр SmartScreen Microsoft Defender для блокировки потенциально нежелательных приложений
    Базовый план по умолчанию: включено

  • Включить DNS-запросы фильтра SmartScreen Microsoft Defender
    Базовый план по умолчанию: включено

  • Включить новую библиотеку SmartScreen
    Базовый план по умолчанию: включено

  • Принудительно проверяет фильтр SmartScreen Microsoft Defender на загрузку из надежных источников
    Базовый план по умолчанию: включено

  • Запретить обходить запросы фильтра SmartScreen Microsoft Defender для сайтов
    Базовый план по умолчанию: включено

  • Запретить обходить предупреждения фильтра SmartScreen Microsoft Defender о загрузках
    Базовый план по умолчанию: включено

Правила уменьшения поверхности атаки

Правила сокращения направлений атак поддерживают объединение параметров из разных политик для создания расширенного набора политик для каждого устройства. Объединяются только параметры, которые не конфликтуют. Конфликтующие параметры не добавляются в расширенное множество правил. Ранее, если две политики включали конфликты для одного параметра, обе политики помечались как конфликтующие, и параметры из любого профиля не развертывались.

Поведение при объединении с помощью сокращения направлений атак выглядит следующим образом:

  • Правила уменьшения уязвимой зоны из следующих профилей оцениваются для каждого устройства, к которому применяются правила:
    • Политика конфигурации устройств > Профиль > защиты конечных точек Exploit Guard > в Microsoft Defender Сокращение направлений атак>
    • Безопасность > конечной точки Политика > уменьшения уязвимой зоны Правила уменьшения уязвимой зоны
    • Безопасность > конечной точки Базовые параметры > безопасности Правила >сокращения направлений атак в Microsoft Defender для конечной точки.
  • Параметры, не имеющие конфликтов, добавляются в расширенное множество политик для устройства.
  • Если две или более политики имеют конфликтующие параметры, конфликтующие параметры не добавляются в объединенную политику, а параметры, не конфликтующие друг с другом, добавляются в политику расширения, применяемую к устройству.
  • Сохраняются только конфигурации для конфликтующих параметров.

Дополнительные сведения см. в разделе "Правила сокращения направлений атак" в документации по Microsoft Defender для конечной точки.

  • Блокировка создания дочерних процессов в приложениях для общения в Office
    Базовый план по умолчанию: Включено
    Подробнее

  • Блокирование создания дочерних процессов в Adobe Reader
    Базовый план по умолчанию: Включено
    Подробнее

  • Блокировка внедрения кода в другие процессы приложениями Office
    Базовый план по умолчанию: блокировать
    Подробнее

  • Блокировка создания исполняемого контента в приложениях Office
    Базовый план по умолчанию: блокировать
    Подробнее

  • Запретить JavaScript или VBScript запускать загружаемое исполняемое содержимое
    Базовый план по умолчанию: блокировать
    Подробнее

  • Включение защиты сети
    Базовый план по умолчанию: Включено
    Подробнее

  • Блокировка ненадежных и неподписанных процессов, запущенных с USB
    Базовый план по умолчанию: блокировать
    Подробнее

  • Блокировка кражи учетных данных из подсистемы локального центра безопасности Windows (lsass.exe)
    Базовый план по умолчанию: Включено
    Подробнее

  • Блокировка скачивания исполняемого содержимого из почтовых и веб-клиентов
    Базовый план по умолчанию: блокировать
    Подробнее

  • Блокировка создания дочерних процессов для всех приложений Office
    Базовый план по умолчанию: блокировать
    Подробнее

  • Блокировать выполнение потенциально обфусцированных скриптов (js/vbs/ps)
    Базовый план по умолчанию: блокировать
    Подробнее

  • Блокировка вызовов API Win32 из макроса Office
    Базовый план по умолчанию: блокировать
    Подробнее

Application Guard

Дополнительные сведения см. в разделе WindowsDefenderApplicationGuard CSP в документации Windows.

При использовании Microsoft Edge Application Guard в Application Guard в Microsoft Defender в Microsoft Defender защищает вашу среду от сайтов, не являющихся доверенными для вашей организации. При посещении пользователями сайтов, не перечисленных в изолированной границе сети, они открываются в сеансе виртуального просмотра Hyper-V. Надежные сайты определяются границей сети.

  • Включение Application Guard для Edge (параметры)
    Базовый план по умолчанию: включено для Edge
    Подробнее

    • Блокировка внешнего контента с сайтов, не утвержденных корпоративными
      Базовый план по умолчанию: Да
      Подробнее

    • Поведение буфера обмена
      Базовый план по умолчанию: блокировка копирования и вставки между ПК и браузером
      Подробнее

  • Политика сетевой изоляции Windows
    Базовый план по умолчанию: настройка
    Подробнее

    • Сетевые домены
      Базовый план по умолчанию: securitycenter.windows.com

BitLocker

  • Требовать шифрования карт памяти (только для мобильных устройств)
    Базовый план по умолчанию: Да
    Подробнее

    Примечание.

    Поддержка Windows 10 Mobile и Windows Phone 8.1 прекращена в августе 2020 г.

  • Включить полное шифрование диска для ОС и фиксированных дисков с данными
    Базовый план по умолчанию: Да
    Подробнее

  • Политика BitLocker в отношении системных дисков
    Базовый план по умолчанию: настройка
    Подробнее

    • Настройка метода шифрования для дисков операционной системы
      Базовый план по умолчанию: не настроен
      Подробнее

  • Политика BitLocker в отношении встроенных дисков
    Базовый план по умолчанию: настройка
    Подробнее

    • Блокировать доступ на запись к фиксированным дискам данных, не защищенным BitLocker
      Базовый план по умолчанию: Да
      Подробнее Этот параметр доступен, если для политики фиксированного диска BitLocker задано значение "Настройка".

    • Настройка метода шифрования для фиксированных дисков с данными
      Базовый план по умолчанию: AES 128bit XTS
      Подробнее

  • Политика BitLocker в отношении съемных дисков
    Базовый план по умолчанию: настройка
    Подробнее

    • Настройка метода шифрования для съемных носителей данных
      Базовый план по умолчанию: AES 128 бит CBC
      Подробнее

    • Блокировать доступ на запись к съемным дискам данных, не защищенным BitLocker
      Базовый план по умолчанию: не настроен
      Подробнее

  • Режимы ожидания в спящем режиме при работе от батареи
    Базовый план по умолчанию: отключено
    Подробнее

  • Режимы ожидания при переходе в спящий режим при питании от сети
    Базовый план по умолчанию: отключено
    Подробнее

  • Включить полное шифрование диска для ОС и фиксированных дисков с данными
    Базовый план по умолчанию: Да
    Подробнее

  • Политика BitLocker в отношении системных дисков
    Базовый план по умолчанию: настройка
    Подробнее

    • Требуется проверка подлинности при запуске.
      Базовый план по умолчанию: Да
      Подробнее

    • Совместимый ПИН-код запуска TPM
      Базовый план по умолчанию: разрешено
      Подробнее

    • Совместимый ключ запуска TPM
      Базовый план по умолчанию: обязательное
      Подробнее

    • Отключение BitLocker на устройствах, с которыми несовместим доверенный платформенный модуль
      Базовый план по умолчанию: Да
      Подробнее

    • Настройка метода шифрования для дисков операционной системы
      Базовый план по умолчанию: не настроен
      Подробнее

  • Политика BitLocker в отношении встроенных дисков
    Базовый план по умолчанию: настройка
    Подробнее

    • Блокировать доступ на запись к фиксированным дискам данных, не защищенным BitLocker
      Базовый план по умолчанию: Да
      Подробнее Этот параметр доступен, если для политики фиксированного диска BitLocker задано значение "Настройка".

    • Настройка метода шифрования для фиксированных дисков с данными
      Базовый план по умолчанию: AES 128bit XTS
      Подробнее

  • Политика BitLocker в отношении съемных дисков
    Базовый план по умолчанию: настройка
    Подробнее

    • Настройка метода шифрования для съемных носителей данных
      Базовый план по умолчанию: AES 128 бит CBC
      Подробнее

    • Блокировать доступ на запись к съемным дискам данных, не защищенным BitLocker
      Базовый план по умолчанию: не настроен
      Подробнее

  • Политика BitLocker в отношении системных дисков
    Базовый план по умолчанию: настройка
    Подробнее

    • Требуется проверка подлинности при запуске.
      Базовый план по умолчанию: Да
      Подробнее

    • Совместимый ПИН-код запуска TPM
      Базовый план по умолчанию: разрешено
      Подробнее

    • Совместимый ключ запуска TPM
      Базовый план по умолчанию: обязательное
      Подробнее

    • Отключение BitLocker на устройствах, с которыми несовместим доверенный платформенный модуль
      Базовый план по умолчанию: Да
      Подробнее

    • Настройка метода шифрования для дисков операционной системы
      Базовый план по умолчанию: не настроен
      Подробнее

  • Режимы ожидания в спящем режиме при работе от батареи
    Базовый план по умолчанию: отключено
    Подробнее

  • Режимы ожидания при переходе в спящий режим при питании от сети
    Базовый план по умолчанию: отключено
    Подробнее

  • Включить полное шифрование диска для ОС и фиксированных дисков с данными
    Базовый план по умолчанию: Да
    Подробнее

  • Политика BitLocker в отношении встроенных дисков
    Базовый план по умолчанию: настройка
    Подробнее

    • Блокировать доступ на запись к фиксированным дискам данных, не защищенным BitLocker
      Базовый план по умолчанию: Да
      Подробнее Этот параметр доступен, если для политики фиксированного диска BitLocker задано значение "Настройка".

    • Настройка метода шифрования для фиксированных дисков с данными
      Базовый план по умолчанию: AES 128bit XTS
      Подробнее

  • Политика BitLocker в отношении съемных дисков
    Базовый план по умолчанию: настройка
    Подробнее

    • Настройка метода шифрования для съемных носителей данных
      Базовый план по умолчанию: AES 128 бит CBC
      Подробнее

    • Блокировать доступ на запись к съемным дискам данных, не защищенным BitLocker
      Базовый план по умолчанию: не настроен
      Подробнее

Браузер

  • Запрос SmartScreen для Microsoft Edge
    Базовый план по умолчанию: Да
    Подробнее

  • Блокировка доступа к вредоносным сайтам
    Базовый план по умолчанию: Да
    Подробнее

  • Блокировка скачивания непроверенного файла
    Базовый план по умолчанию: Да
    Подробнее

Защита данных

  • Блокировка прямого доступа к памяти
    Базовый план по умолчанию: Да
    Подробнее

Device Guard

  • Включение функции Credential Guard
    Базовый план по умолчанию: включить с блокировкой UEFI
    Подробнее

Установка устройства

  • Установка оборудования по идентификаторам устройств
    Базовый план по умолчанию: блокировка установки оборудования
    Подробнее

    • Удалите соответствующие аппаратные устройства
      Базовый план по умолчанию: Да

    • Заблокированные идентификаторы аппаратных устройств
      Базовый план по умолчанию: не настроено по умолчанию. Вручную добавьте один или несколько идентификаторов устройств.

  • Установка оборудования устройства по классам настройки
    Базовый план по умолчанию: блокировка установки оборудования
    Подробнее

    • Удалите соответствующие аппаратные устройства
      Базовый план по умолчанию: не настроен

    • Заблокированные идентификаторы аппаратных устройств
      Базовый план по умолчанию: не настроено по умолчанию. Вручную добавьте один или несколько идентификаторов устройств.

  • Блокировка установки оборудования устройствами с помощью классов настройки: Базовый план по умолчанию: Да
    Подробнее

    • Удалить подходящие аппаратные устройства: Базовый план по умолчанию: Да

    • Список блокировок
      Базовый план по умолчанию: не настроено по умолчанию. Вручную добавьте один или несколько глобальных уникальных идентификаторов класса настройки.

DMA Guard

  • Перечисление внешних устройств, несовместимых с защитой DMA ядра
    Базовый план по умолчанию: Блокировать все
    Подробнее
  • Перечисление внешних устройств, несовместимых с защитой DMA ядра
    Базовый план по умолчанию: не настроен
    Подробнее

Обнаружение и нейтрализация атак на конечные точки

  • Пример общего доступа ко всем файлам
    Базовый план по умолчанию: Да
    Подробнее

  • Ускорение формирования отчетов телеметрии
    Базовый план по умолчанию: Да
    Подробнее

Брандмауэр

  • протокол передачи файлов с функцией отслеживания состояния (FTP)
    Базовый план по умолчанию: отключено
    Подробнее

  • Количество секунд, в течение которого связь безопасности может простаивать до удаления
    Базовый план по умолчанию: 300
    Подробнее

  • Кодировка предварительных ключей
    Базовый план по умолчанию: UTF8
    Подробнее

  • Проверка списка отзыва сертификатов (CRL)
    Базовый план по умолчанию: не настроен
    Подробнее

  • Очередь пакетов
    Базовый план по умолчанию: не настроен
    Подробнее

  • Частный профиль брандмауэра
    Базовый план по умолчанию: настройка
    Подробнее

    • Входящие подключения заблокированы
      Базовый план по умолчанию: Да
      Подробнее

    • Требуются одноадресные ответы на многоадресные рассылки
      Базовый план по умолчанию: Да
      Подробнее

    • Требуются исходящие подключения
      Базовый план по умолчанию: Да
      Подробнее

    • Входящие уведомления заблокированы
      Базовый план по умолчанию: Да
      Подробнее

    • Глобальные правила портов из групповой политики объединены
      Базовый план по умолчанию: Да
      Подробнее

    • Брандмауэр включен
      Базовый план по умолчанию: разрешено
      Подробнее

    • Правила авторизованных приложений из групповой политики не объединены
      Базовый план по умолчанию: Да
      Подробнее

    • Правила безопасности подключения из групповой политики не объединены
      Базовый план по умолчанию: Да
      Подробнее

    • Требуется входящий трафик
      Базовый план по умолчанию: Да
      Подробнее

    • Правила групповой политики не объединены
      Базовый план по умолчанию: Да
      Подробнее

  • Скрытый режим заблокирован
    Базовый план по умолчанию: Да
    Подробнее

  • Общедоступный профиль брандмауэра
    Базовый план по умолчанию: настройка
    Подробнее

    • Входящие подключения заблокированы
      Базовый план по умолчанию: Да
      Подробнее

    • Требуются одноадресные ответы на многоадресные рассылки
      Базовый план по умолчанию: Да
      Подробнее

    • Требуются исходящие подключения
      Базовый план по умолчанию: Да
      Подробнее

    • Правила авторизованных приложений из групповой политики не объединены
      Базовый план по умолчанию: Да**
      Подробнее

    • Входящие уведомления заблокированы
      Базовый план по умолчанию: Да
      Подробнее

    • Глобальные правила портов из групповой политики объединены
      Базовый план по умолчанию: Да
      Подробнее

    • Брандмауэр включен
      Базовый план по умолчанию: разрешено
      Подробнее

    • Правила безопасности подключения из групповой политики не объединены
      Базовый план по умолчанию: Да
      Подробнее

    • Требуется входящий трафик
      Базовый план по умолчанию: Да
      Подробнее

    • Правила групповой политики не объединены
      Базовый план по умолчанию: Да
      Подробнее

  • Скрытый режим заблокирован
    Базовый план по умолчанию: Да
    Подробнее

  • Домен профиля брандмауэра
    Базовый план по умолчанию: настройка
    Подробнее

    • Требуются одноадресные ответы на многоадресные рассылки
      Базовый план по умолчанию: Да
      Подробнее

    • Правила авторизованных приложений из групповой политики не объединены
      Базовый план по умолчанию: Да
      Подробнее

    • Входящие уведомления заблокированы
      Базовый план по умолчанию: Да
      Подробнее

    • Глобальные правила портов из групповой политики объединены
      Базовый план по умолчанию: Да
      Подробнее

    • Брандмауэр включен
      Базовый план по умолчанию: разрешено
      Подробнее

    • Правила безопасности подключения из групповой политики не объединены
      Базовый план по умолчанию: Да
      Подробнее

    • Правила групповой политики не объединены
      Базовый план по умолчанию: Да
      Подробнее

  • Скрытый режим заблокирован
    Базовый план по умолчанию: Да
    Подробнее

Microsoft Defender

  • Включить защиту в режиме реального времени
    Базовый план по умолчанию: Да
    Подробнее

  • Дополнительный период времени (0–50 секунд) для продления времени ожидания облачной защиты
    Базовый план по умолчанию: 50
    Подробнее

  • Проверка всех загруженных файлов и вложений
    Базовый план по умолчанию: Да
    Подробнее

  • Тип сканирования
    Базовый план по умолчанию: быстрая проверка
    Подробнее

  • День сканирования по расписанию Защитника: базовый план по умолчанию: каждый день

  • Время запуска проверки Защитника: Базовый план по умолчанию: не настроено

  • Пример согласия на отправку Defender
    Базовый план по умолчанию: автоматическая отправка безопасных образцов
    Подробнее

  • Уровень защиты, предоставляемой облаком
    Базовый план по умолчанию: высокий
    Подробнее

  • Сканирование съемных дисков во время полной проверки
    Базовый план по умолчанию: Да
    Подробнее

  • Действие Защитника при обнаружении потенциально нежелательного приложения
    Базовый план по умолчанию: блокировать
    Подробнее

  • Включить облачную защиту
    Базовый план по умолчанию: Да
    Подробнее

  • Включить защиту в режиме реального времени
    Базовый план по умолчанию: Да
    Подробнее

  • Дополнительный период времени (0–50 секунд) для продления времени ожидания облачной защиты
    Базовый план по умолчанию: 50
    Подробнее

  • Проверка всех загруженных файлов и вложений
    Базовый план по умолчанию: Да
    Подробнее

  • Тип сканирования
    Базовый план по умолчанию: быстрая проверка
    Подробнее

  • Пример согласия на отправку Defender
    Базовый план по умолчанию: автоматическая отправка безопасных образцов
    Подробнее

  • Уровень защиты, предоставляемой облаком
    Базовый план по умолчанию: высокий
    Подробнее

  • Сканирование съемных дисков во время полной проверки
    Базовый план по умолчанию: Да
    Подробнее

  • Действие Защитника при обнаружении потенциально нежелательного приложения
    Базовый план по умолчанию: блокировать
    Подробнее

  • Включить облачную защиту
    Базовый план по умолчанию: Да
    Подробнее

  • Запускайте ежедневную быструю проверку в
    Базовый план по умолчанию: 2:00
    Подробнее

  • Время запуска запланированной проверки
    Базовый план по умолчанию: 2:00

  • Настройка низкого приоритета ЦП для запланированных проверок
    Базовый план по умолчанию: Да
    Подробнее

  • Блокировка создания дочерних процессов в приложениях для общения в Office
    Базовый план по умолчанию: Включено
    Подробнее

  • Блокирование создания дочерних процессов в Adobe Reader
    Базовый план по умолчанию: Включено
    Подробнее

  • Проверка входящих сообщений электронной почты
    Базовый план по умолчанию: Да
    Подробнее

  • Включить защиту в режиме реального времени
    Базовый план по умолчанию: Да
    Подробнее

  • Количество дней (0–90) для хранения вредоносных программ, помещенных на карантин
    Базовый план по умолчанию: 0
    Подробнее

  • Расписание проверки системы в Защитнике
    Базовый план по умолчанию: определено пользователем
    Подробнее

  • Дополнительный период времени (0–50 секунд) для продления времени ожидания облачной защиты
    Базовый план по умолчанию: 50
    Подробнее

  • Проверка подключенных сетевых дисков во время полной проверки
    Базовый план по умолчанию: Да
    Подробнее

  • Включить защиту сети
    Базовый план по умолчанию: Да
    Подробнее

  • Проверка всех загруженных файлов и вложений
    Базовый план по умолчанию: Да
    Подробнее

  • Блокировка при защите доступа
    Базовый план по умолчанию: не настроен
    Подробнее

  • Проверка сценариев браузера
    Базовый план по умолчанию: Да
    Подробнее

  • Блокировка доступа пользователей к приложению Microsoft Defender
    Базовый план по умолчанию: Да
    Подробнее

  • Максимально допустимое использование ЦП (0–100 процентов) на сканирование
    Базовый план по умолчанию: 50
    Подробнее

  • Тип сканирования
    Базовый план по умолчанию: быстрая проверка
    Подробнее

  • Укажите, как часто (0–24 часа) проводить проверку обновлений механизма обнаружения угроз
    Базовый план по умолчанию: 8
    Подробнее

  • Пример согласия на отправку Defender
    Базовый план по умолчанию: автоматическая отправка безопасных образцов
    Подробнее

  • Уровень защиты, предоставляемой облаком
    Базовый план по умолчанию: *Не настроено
    Подробнее

  • Проверка файлов архива
    Базовый план по умолчанию: Да
    Подробнее

  • Включение мониторинга поведения
    Базовый план по умолчанию: Да
    Подробнее

  • Сканирование съемных дисков во время полной проверки
    Базовый план по умолчанию: Да
    Подробнее

  • Проверка сетевых файлов
    Базовый план по умолчанию: Да
    Подробнее

  • Действие Защитника при обнаружении потенциально нежелательного приложения
    Базовый план по умолчанию: блокировать
    Подробнее

  • Включить облачную защиту
    Базовый план по умолчанию: Да
    Подробнее

  • Блокировка внедрения кода в другие процессы приложениями Office
    Базовый план по умолчанию: блокировать
    Подробнее

  • Блокировка создания исполняемого контента в приложениях Office
    Базовый план по умолчанию: блокировать
    Подробнее

  • Запретить JavaScript или VBScript запускать загружаемое исполняемое содержимое
    Базовый план по умолчанию: блокировать
    Подробнее

  • Включение защиты сети
    Базовый план по умолчанию: режим аудита
    Подробнее

  • Блокировка ненадежных и неподписанных процессов, запущенных с USB
    Базовый план по умолчанию: блокировать
    Подробнее

  • Блокировка кражи учетных данных из подсистемы локального центра безопасности Windows (lsass.exe)
    Базовый план по умолчанию: Включено
    Подробнее

  • Блокировка скачивания исполняемого содержимого из почтовых и веб-клиентов
    Базовый план по умолчанию: блокировать
    Подробнее

  • Блокировка создания дочерних процессов для всех приложений Office
    Базовый план по умолчанию: блокировать
    Подробнее

  • Блокировать выполнение потенциально обфусцированных скриптов (js/vbs/ps)
    Базовый план по умолчанию: блокировать
    Подробнее

  • Блокировка вызовов API Win32 из макроса Office
    Базовый план по умолчанию: блокировать
    Подробнее

  • Запускайте ежедневную быструю проверку в
    Базовый план по умолчанию: 2:00
    Подробнее

  • Время запуска запланированной проверки
    Базовый план по умолчанию: 2:00

  • Настройка низкого приоритета ЦП для запланированных проверок
    Базовый план по умолчанию: Да
    Подробнее

  • Блокировка создания дочерних процессов в приложениях для общения в Office
    Базовый план по умолчанию: Включено
    Подробнее

  • Блокирование создания дочерних процессов в Adobe Reader
    Базовый план по умолчанию: Включено
    Подробнее

  • Проверка входящих сообщений электронной почты
    Базовый план по умолчанию: Да
    Подробнее

  • Включить защиту в режиме реального времени
    Базовый план по умолчанию: Да
    Подробнее

  • Количество дней (0–90) для хранения вредоносных программ, помещенных на карантин
    Базовый план по умолчанию: 0
    Подробнее

  • Расписание проверки системы в Защитнике
    Базовый план по умолчанию: определено пользователем
    Подробнее

  • Дополнительный период времени (0–50 секунд) для продления времени ожидания облачной защиты
    Базовый план по умолчанию: 50
    Подробнее

  • Проверка подключенных сетевых дисков во время полной проверки
    Базовый план по умолчанию: Да
    Подробнее

  • Включить защиту сети
    Базовый план по умолчанию: Да
    Подробнее

  • Проверка всех загруженных файлов и вложений
    Базовый план по умолчанию: Да
    Подробнее

  • Блокировка при защите доступа
    Базовый план по умолчанию: не настроен
    Подробнее

  • Проверка сценариев браузера
    Базовый план по умолчанию: Да
    Подробнее

  • Блокировка доступа пользователей к приложению Microsoft Defender
    Базовый план по умолчанию: Да
    Подробнее

  • Максимально допустимое использование ЦП (0–100 процентов) на сканирование
    Базовый план по умолчанию: 50
    Подробнее

  • Тип сканирования
    Базовый план по умолчанию: быстрая проверка
    Подробнее

  • Укажите, как часто (0–24 часа) проводить проверку обновлений механизма обнаружения угроз
    Базовый план по умолчанию: 8
    Подробнее

  • Пример согласия на отправку Defender
    Базовый план по умолчанию: автоматическая отправка безопасных образцов
    Подробнее

  • Уровень защиты, предоставляемой облаком
    Базовый план по умолчанию: *Не настроено
    Подробнее

  • Проверка файлов архива
    Базовый план по умолчанию: Да
    Подробнее

  • Включение мониторинга поведения
    Базовый план по умолчанию: Да
    Подробнее

  • Сканирование съемных дисков во время полной проверки
    Базовый план по умолчанию: Да
    Подробнее

  • Проверка сетевых файлов
    Базовый план по умолчанию: Да
    Подробнее

  • Действие Защитника при обнаружении потенциально нежелательного приложения
    Базовый план по умолчанию: блокировать
    Подробнее

  • Включить облачную защиту
    Базовый план по умолчанию: Да
    Подробнее

  • Блокировка внедрения кода в другие процессы приложениями Office
    Базовый план по умолчанию: блокировать
    Подробнее

  • Блокировка создания исполняемого контента в приложениях Office
    Базовый план по умолчанию: блокировать
    Подробнее

  • Запретить JavaScript или VBScript запускать загружаемое исполняемое содержимое
    Базовый план по умолчанию: блокировать
    Подробнее

  • Включение защиты сети
    Базовый план по умолчанию: режим аудита
    Подробнее

  • Блокировка ненадежных и неподписанных процессов, запущенных с USB
    Базовый план по умолчанию: блокировать
    Подробнее

  • Блокировка кражи учетных данных из подсистемы локального центра безопасности Windows (lsass.exe)
    Базовый план по умолчанию: Включено
    Подробнее

  • Блокировка скачивания исполняемого содержимого из почтовых и веб-клиентов
    Базовый план по умолчанию: блокировать
    Подробнее

  • Блокировка создания дочерних процессов для всех приложений Office
    Базовый план по умолчанию: блокировать
    Подробнее

  • Блокировать выполнение потенциально обфусцированных скриптов (js/vbs/ps)
    Базовый план по умолчанию: блокировать
    Подробнее

  • Блокировка вызовов API Win32 из макроса Office
    Базовый план по умолчанию: блокировать
    Подробнее

Центр безопасности в Microsoft Defender

  • Блокировка редактирования пользователями интерфейса защиты Exploit Guard
    Базовый план по умолчанию: Да
    Подробнее

Smart Screen

  • Запрет игнорирования предупреждений SmartScreen пользователями
    Базовый план по умолчанию: Да
    Подробнее

  • Включение Windows SmartScreen
    Базовый план по умолчанию: Да
    Подробнее

  • Запрос SmartScreen для Microsoft Edge
    Базовый план по умолчанию: Да
    Подробнее

  • Блокировка доступа к вредоносным сайтам
    Базовый план по умолчанию: Да
    Подробнее

  • Блокировка скачивания непроверенного файла
    Базовый план по умолчанию: Да
    Подробнее

  • Настройка фильтра SmartScreen Microsoft Defender
    Базовый план по умолчанию: включено

  • Запретить обходить запросы фильтра SmartScreen Microsoft Defender для сайтов
    Базовый план по умолчанию: включено

  • Запретить обходить предупреждения фильтра SmartScreen Microsoft Defender о загрузках
    Базовый план по умолчанию: включено

  • Настройте фильтр SmartScreen Microsoft Defender для блокировки потенциально нежелательных приложений
    Базовый план по умолчанию: включено

  • Требовать приложения только из магазина
    Базовый план по умолчанию: Да

  • Включение Windows SmartScreen
    Базовый план по умолчанию: Да
    Подробнее

Windows Hello для бизнеса

Дополнительные сведения см. в статье CSP PassportForWork в документации Windows.

  • Блокировка Windows Hello для бизнеса
    Базовый план по умолчанию: отключено

    • Строчные буквы в ПИН-коде
      Базовый план по умолчанию: разрешено

    • Специальные символы в ПИН-коде
      Базовый план по умолчанию: разрешено

    • Прописные буквы в ПИН-коде
      Базовый план по умолчанию: разрешено

Дальнейшие действия

  • Last updated on