Implantar linhas de base de segurança do Windows Server 2025 localmente com o OSConfig

1. Selecione Iniciar, digite PowerShell, passe o mouse sobre o Windows PowerShell e selecione Executar como administrador.

2. Execute o seguinte comando para instalar o módulo OSConfig:

   Install-Module -Name Microsoft.OSConfig -Scope AllUsers -Force
   

   Se for solicitado que você instale ou atualize o provedor NuGet, selecione Sim.

3. Para verificar se o módulo OSConfig está instalado, execute o seguinte comando:

   Get-Module -ListAvailable -Name Microsoft.OSConfig
   

Você pode baixar manualmente o módulo OSConfig da Galeria do PowerShell (requer conexão com a Internet). Esse método é especialmente benéfico quando o dispositivo de destino não tem acesso direto à Galeria do PowerShell para permitir uma instalação offline.

1. Navegue até a página Microsoft.OSConfig .
2. Em Opções de Instalação, selecione Download Manual e, em seguida, baixe o arquivo nupkg bruto.
3. Siga as instruções para instalar o módulo OSConfig usando o gerenciador de pacotes NuGet.

Como alternativa, você pode usar o cmdlet Salvar Módulo para salvar o módulo OSConfig no dispositivo local. Em seguida, você pode copiá-lo para um local compartilhado e usar o cmdlet Import-Module para adicioná-lo à sessão atual.

1. Execute o seguinte comando para salvar o módulo OSConfig no dispositivo local substituindo Server01 pelo nome do dispositivo ou endereço IP:

   Save-Module -Name Microsoft.OSConfig -Path "\\Server01\Public"
   Get-ChildItem -Path "\\Server01\Public"
   

2. Execute o seguinte comando para carregar o módulo OSConfig no dispositivo de destino:

   Import-Module "\\Server01\Public\Microsoft.OSConfig\*\Microsoft.OSConfig.psd1"
   

Para aplicar a linha de base para um dispositivo conectado ao domínio, execute o seguinte comando:

Set-OSConfigDesiredConfiguration -Scenario SecurityBaseline/WS2025/MemberServer -Default

Para aplicar a linha de base para um dispositivo que está em um grupo de trabalho, execute o seguinte comando:

Set-OSConfigDesiredConfiguration -Scenario SecurityBaseline/WS2025/WorkgroupMember -Default

Para aplicar a linha de base para um dispositivo configurado como DC, execute o seguinte comando:

Set-OSConfigDesiredConfiguration -Scenario SecurityBaseline/WS2025/DomainController -Default

Para aplicar a linha de base de núcleo seguro a um dispositivo, execute o seguinte comando:

Set-OSConfigDesiredConfiguration -Scenario SecuredCore -Default

Para aplicar a linha de base do Microsoft Defender Antivírus a um dispositivo, execute o seguinte comando:

Set-OSConfigDesiredConfiguration -Scenario Defender/Antivirus -Default

Para verificar se a linha de base de um dispositivo conectado a um domínio foi aplicada corretamente, execute o seguinte comando:

Get-OSConfigDesiredConfiguration -Scenario SecurityBaseline/WS2025/MemberServer

Para verificar se a linha de base de um dispositivo que está em um grupo de trabalho foi aplicada corretamente, execute o seguinte comando:

Get-OSConfigDesiredConfiguration -Scenario SecurityBaseline/WS2025/WorkgroupMember

Para verificar se a linha de base de um dispositivo configurado como DC foi aplicada corretamente, execute o seguinte comando:

Get-OSConfigDesiredConfiguration -Scenario SecurityBaseline/WS2025/DomainController

Para verificar se a linha de base de núcleo seguro de um dispositivo foi aplicada corretamente, execute o seguinte comando:

Get-OSConfigDesiredConfiguration -Scenario SecuredCore

Para verificar se a linha de base do Microsoft Defender Antivírus para um dispositivo foi aplicada corretamente, execute o seguinte comando:

Get-OSConfigDesiredConfiguration -Scenario Defender/Antivirus

Para remover a linha de base para um dispositivo ingressado no domínio, execute o seguinte comando:

Remove-OSConfigDesiredConfiguration -Scenario SecurityBaseline/WS2025/MemberServer

Para remover a linha de base para um dispositivo que está em um grupo de trabalho, execute o seguinte comando:

Remove-OSConfigDesiredConfiguration -Scenario SecurityBaseline/WS2025/WorkgroupMember

Para remover a linha de base para um dispositivo configurado como DC, execute o seguinte comando:

Remove-OSConfigDesiredConfiguration -Scenario SecurityBaseline/WS2025/DomainController

Para remover a linha de base de núcleo seguro a um dispositivo, execute o seguinte comando:

Remove-OSConfigDesiredConfiguration -Scenario SecuredCore

Para remover a linha de base do Microsoft Defender Antivírus a um dispositivo, execute o seguinte comando:

Remove-OSConfigDesiredConfiguration -Scenario Defender/Antivirus

Para obter os detalhes de configuração desejados para o cenário especificado, use os comandos a seguir. A saída aparece em um formato de tabela que inclui o nome do item de configuração, seu status de conformidade e o motivo da não conformidade.

Para verificar os detalhes de conformidade de um dispositivo conectado ao domínio, execute o seguinte comando:

Get-OSConfigDesiredConfiguration -Scenario SecurityBaseline/WS2025/MemberServer | ft Name, @{ Name = "Status"; Expression={$_.Compliance.Status} }, @{ Name = "Reason"; Expression={$_.Compliance.Reason} } -AutoSize -Wrap

Para verificar os detalhes de conformidade de um dispositivo de grupo de trabalho, execute o seguinte comando:

Get-OSConfigDesiredConfiguration -Scenario SecurityBaseline/WS2025/WorkgroupMember | ft Name, @{ Name = "Status"; Expression={$_.Compliance.Status} }, @{ Name = "Reason"; Expression={$_.Compliance.Reason} } -AutoSize -Wrap

Para verificar os detalhes de conformidade da linha de base do DC, execute o seguinte comando:

Get-OSConfigDesiredConfiguration -Scenario SecurityBaseline/WS2025/DomainController | ft Name, @{ Name = "Status"; Expression={$_.Compliance.Status} }, @{ Name = "Reason"; Expression={$_.Compliance.Reason} } -AutoSize -Wrap

Para verificar os detalhes de conformidade da linha de base de núcleo seguro, execute o seguinte comando:

Get-OSConfigDesiredConfiguration -Scenario SecuredCore | ft Name, @{ Name = "Status"; Expression={$_.Compliance.Status} }, @{ Name = "Reason"; Expression={$_.Compliance.Reason} } -AutoSize -Wrap

Para verificar os detalhes de conformidade da linha de base do Microsoft Defender Antivírus, execute o seguinte comando:

Get-OSConfigDesiredConfiguration -Scenario Defender/Antivirus | ft Name, @{ Name = "Status"; Expression={$_.Compliance.Status} }, @{ Name = "Reason"; Expression={$_.Compliance.Reason} } -AutoSize -Wrap