Харденинг Windows: что реально нужно включить

Один взломанный компьютер ещё не должен означать потерю всей инфраструктуры. В этом ролике разбираем, как грамотно укрепить Windows Server и контроллер домена: что защищает Credential Guard, зачем нужен LSA Protection, как не разбрасываться административными учётными данными и почему безопасность сервера — это не одна волшебная галочка, а несколько слоёв защиты. Поговорим про LSA и LSASS, Credential Guard и VBS, RunAsPPL, современные парольные политики, Windows LAPS и gMSA. Разберём безопасный RDP через NLA, Restricted Admin и Remote Credential Guard, а также UAC, DDE, порядок поиска DLL и способы уменьшить поверхность атаки Windows Server. Отдельно — то, что особенно важно для контроллеров домена: разделение привилегий, отдельные административные учётки, PAW, Protected Users, LDAP signing и принцип, по которому администратор высокого уровня не должен работать с обычной рабочей станции. Windows_hardening_описание_и_сц… И в конце — как всё это внедрять не вручную на каждом сервере, а через Microsoft Security Compliance Toolkit, Policy Analyzer, LGPO, OSConfig и пилотные группы. Потому что харденинг, после которого перестал работать бизнес, долго не проживёт. Главы: 0:00 — Сервер только включился — а к нему уже подбираются 0:42 — О чём ролик 1:10 — Зачем вообще нужен харденинг 2:17 — MITRE ATT&CK и базлайны Microsoft/CIS 3:00 — LSA и LSASS 4:45 — Credential Guard 7:49 — LSA Protection / RunAsPPL 10:13 — WDigest 10:42 — Пароли, LAPS и gMSA 13:09 — RDP и NLA 15:58 — UAC 18:20 — DDE 19:58 — Порядок поиска DLL 21:52 — Server Core, SMB, LLMNR и снижение поверхности атаки 23:45 — Defender, ASR, аудит и SIEM 25:15 — Патчи 25:36 — Защита контроллеров домена 27:56 — Базлайны, Policy Analyzer, LGPO и OSConfig 29:28 — Главное за минуту Главная мысль: защита Windows Server — это слои. Если один механизм не сработал, следующий должен остановить атаку до того, как одна ошибка превратится в проблему для всей компании.