Kører jeres klienter og servere Windows, har producenten selv udgivet et sæt anbefalede indstillinger, som opsætningen kan holdes op imod. En sikkerhedsbaseline er efter Microsofts egen beskrivelse en gruppe anbefalede konfigurationsindstillinger hvor hver indstillings betydning for sikkerheden er forklaret, og den bruges både til at kontrollere opsætningen og til at sætte den.
Baselinen er en målestok fra producenten. Den er ikke et krav fra en myndighed, og den står ved siden af andre målestokke som CIS Benchmarks, ikke over dem.
De principper, baselinen er bygget på
Microsoft beskriver tre principper på sin side om baselines. De er vigtige at kende, fordi de forklarer, hvorfor baselinen ikke rummer alle tænkelige stramninger.
- Skrevet til velstyrede miljøer. Baselinerne er lavet til organisationer, der styrer deres maskiner, og hvor almindelige brugere ikke har administratorrettigheder. Har brugerne lokale administratorrettigheder, passer forudsætningen ikke, og det er et fund i sig selv.
- Kun aktuelle trusler. Baselinen sætter kun en indstilling, når den modvirker en trussel, der er aktuel nu, og når den ikke giver driften større problemer end den risiko, den fjerner.
- Standardværdier kun, hvor de ellers flyttes. En indstilling, der allerede er sikker som standard, håndhæves kun, hvis en bruger med rettigheder sandsynligvis ellers ville ændre den til noget usikkert.
Det tredje princip er værd at bemærke for driften. At en indstilling ikke står i baselinen, betyder ikke, at den er ligegyldig. Det kan betyde, at standardværdien er sikker, så længe ingen rører den.
Producenten råder til at starte fra en udbredt branchekonfiguration i stedet for et sæt, man selv har sat sammen fra bunden.
Hvor baselinen fås
Baselinerne udgives i to former. Den ene er Security Compliance Toolkit, som ud over baselinerne indeholder værktøjer til at styre dem. Den anden er baselines til styring af enheder gennem en MDM-løsning. Hvilken form der bruges, afhænger af, om maskinerne styres med gruppepolitik i et lokalt katalog eller fra skyen.
Baselinerne følger udgaverne af Windows. Derfor skal gennemgangen notere, hvilken udgave af baselinen der er målt imod, og hvilken udgave af styresystemet den gælder for.
Sådan dokumenteres en sammenligning
Hvordan selve sammenligningen udføres teknisk, beskriver vi ikke værktøj for værktøj. Det vigtige er, at resultatet kan gentages. En sammenligning, der kan bruges som bevis, har som minimum:
- Målestok · (Baselinens navn og udgave)
- Gælder for · (Styresystem og version)
- Maskine eller rolle · (Navn på maskinen eller den gruppe, den repræsenterer)
- Kilde til den faktiske indstilling · (Den effektive indstilling på maskinen, ikke politikken i kataloget)
- Tidspunkt · (Dato og klokkeslæt for udtrækket)
- Afvigelser · (Indstilling, baselinens værdi, den faktiske værdi)
Feltet med kilden er det, der oftest går galt. En politik kan være defineret i kataloget uden at gælde på maskinen, fordi en anden politik overskriver den, eller fordi maskinen ligger et andet sted i strukturen. Den indbyggede kommando gpresult kan lave en rapport over de politikindstillinger, der faktisk blev anvendt for maskine og bruger ved seneste login. Det er den slags udtræk, der viser, hvad der faktisk gælder.
NIST beskriver konfigurationsgennemgang som en sammenligning med vejledninger eller tjeklister, hvor afvigelser markeres og rapporteres. Den foretrækker automatiske kontroller, fordi de giver ensartede resultater, men noterer, at begge metoder kræver administratorrettigheder for at se visse indstillinger (NIST-vejledningen fra september 2008, afsnit 3.4).
Opgør afvigelserne, så de kan læses
En sammenligning mod baselinen giver ofte mange linjer. For at de kan bruges, bør de opgøres i tre grupper:
- Afvigelser, der er bevidste og står på undtagelseslisten med begrundelse.
- Afvigelser, der skyldes, at politikken ikke slår igennem på maskinen.
- Afvigelser, ingen kender grunden til.
Den tredje gruppe er den, gennemgangen skal bruge tid på. Den anden gruppe er ofte den hurtigste at rette, fordi politikken allerede findes.
Microsofts princip om driftsproblemer kan også bruges, når I vælger at afvige. Giver en indstilling større problemer for et fagsystem end den risiko, den afbøder, er det en begrundelse, men den skal stå skrevet sammen med det, der afbøder risikoen i stedet.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at nogen henter den baseline, der passer til jeres udgaver, og henter de faktiske værdier fra nogle maskiner i hver rolle. Det kræver også, at afvigelserne bliver sorteret i de tre grupper.
Uden sammenligningen ved I, hvad der er sat i politikkerne, men ikke om det svarer til producentens anbefaling, og heller ikke om det gælder på maskinerne. Det er netop den forskel, der skaber huller, ingen har opdaget.
Det skal I lade være med
- At sammenligne politikken i kataloget i stedet for indstillingen på maskinen · det er den effektive værdi, der tæller.
- At læse baselinen som en liste over alt, der bør strammes · den håndhæver kun det, der modvirker aktuelle trusler.
- At glemme udgaven · en baseline til én Windows-udgave passer ikke uden videre til en anden.
Det skal gennemgangen kunne vise
- ☐ Navn og udgave på den baseline, der er målt imod.
- ☐ Udtræk af effektive indstillinger pr. maskinrolle med tidspunkt.
- ☐ Afvigelser sorteret i bevidste, ikke slået igennem og uforklarede.
- ☐ Bevis for, at almindelige brugere ikke har administratorrettigheder, som baselinen forudsætter.
Kilder
- Microsoft Learn, Security baselines guide, opdateret 18. august 2025, læst 13. november 2026.
- Microsoft Learn, gpresult, opdateret 22. oktober 2025, læst 13. november 2026.
- NIST SP 800-115, Technical Guide to Information Security Testing and Assessment, september 2008, afsnit 3.4, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find ud af, hvilken udgave af baselinen der passer til jeres Windows-udgaver, og træk de effektive indstillinger fra én maskine pr. rolle.
Læs også: Windows-servere holdt op mod en baseline · Valg af målestok
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
